Burp Suiteを使ってiPhoneのHTTPトラフィックを確認する

背景

外部APIを使用したWEBアプリケーション開発では、エンドポイントに送信したリクエストに対してどのようなレスポンスが返されたのかを確認するために、HTTPトラフィックの解析が必要になることが多い。

PCではディベロッパーツールを利用することで簡単に解析が可能だが、モバイル端末におけるブラウザ以外のアプリケーションがどのような通信を行っているのかを確認する方法には、少し工夫が必要となる。

本記事では、そのようなケースに対応するための1つの方法としてBurpSuiteを取り上げ、
設定手順などを備忘録として記録する。

Burp Suiteとは

Burp Suiteは、Webアプリケーションのセキュリティテストを行うための統合プラットフォームである。
ポートスウィガー（PortSwigger）社が開発したツールで、主にWebアプリケーションの脆弱性診断やセキュリティ検査を行う際に使用されることが多い。セキュリティ専門家やペネトレーションテスターに広く利用されている。

使用環境・ソフトウェア

• Windows 11
• iPhone SE（第3世代) iOS version 17.6.1
• Burp suite Community Edition

手順.1 Burp Suiteのインストール

1.1 公式サイトからBurp Suiteをダウンロード

https://portswigger.net/burp/releases/professional-community-2021-4-2?requestededition=communityからインストール

1.2 インストーラーを起動

ダウンロードされたインストーラーを起動

Nextを押下

インストール先指定(特に指定がなければデフォルトでOK)

ショートカットの作成先指定(特に指定がなければデフォルトでOK)

インストール完了、Finish押下

手順.2 Burp Suiteのプロキシ設定

2.1 Burp Suite起動

ショートカットの作成先に以下のようなショートカットが作成されるので、クリックしてBurp Suiteを起動させる

プロジェクトの選択画面が表示されるが今回は、ComunityEditionを使用する都合上、「Temporay project in memory」しか選択できないので、このまま「Next」を押下

既存の定義ファイルを読み込むかの確認画面が表示されるが、
今回は完全新規で作業を行うためこちらもこのまま「Start Burp」を押下

起動すると、以下のようにダッシュボードが表示される

2.2 プロキシリスニング設定

Proxyタブを開き、Proxy Settingウィンドウを表示

Proxy Settingウィンドウ

2.3 Proxy listenerに新規設定追加

「Proxy listenrs」セクションの「Add」ボタンを押下

新規プロキシリスナー作成ウィンドウが表示されるので任意のポート番号と、使用しているPCのローカルIPアドレスを指定し「OK」押下

手順.3 iphoneのプロキシ設定

3.1 iphoneのWi-Fi設定を開き、接続しているネットワークを選択(PCと同じネットワーク)

3.2 プロキシ設定を選択し、Proxy listenerに設定したIPアドレスとポート番号を指定

手順.4 Burp Suiteの証明書をiphoneにインストール

4.1 Burp Suiteで、Proxy > Intercept > Open Browserをクリック

4.2 Burp Suiteの内蔵ブラウザが開くので、以下のURLにアクセスし、CA証明書をダウンロード

http://burp/cert

4.3 ダウンロードしたCA証明書をiphoneに送信

iphone内にCA証明書を格納し、CA証明書をタップする

タップすると以下の表示が出る

4.4 設定画面からCA証明書をインストールする

設定画面に「ダウンロード済みのプロファイル」と表示されるので選択し、
CA証明書をインストールする

4.5 インストールしたCA証明書の信頼設定をする

iphoneの設定アプリで、一般 > 情報 > 証明書信頼設定を開き、
インストールしたCA証明書の信頼設定をする

手順.5 Burp Suite上でiphoneのHTTPトラフィックを確認

Proxy > HTTP historyを開き、実際にHTTPトラフィックを補足できてるか確認する

以下、iphoneでGoogle検索を使用して「柴犬」と検索した際の様子

終わりに

本記事では、Burp Suiteを使用してプロキシを構成し、
iPhone上で行われるHTTPトラフィックを解析することができる環境を構築した。

なお本手順を実行する際にPCのファイアウォールやiPhoneのセキュリティの設定を変更した場合は、作業終了後に設定を戻すことを強く推奨する。